1Définitions
Aux fins du présent DPA :
« Loi sur la protection des données applicable » désigne les lois relatives à la vie privée et à la protection des données applicables au traitement de Données personnelles en vertu du Contrat.
« Responsable du traitement » désigne la personne ou l'organisation qui détermine les finalités et les moyens du traitement de Données personnelles, ou le terme équivalent en vertu de la loi applicable.
« Sous-traitant » désigne une personne ou une organisation qui traite des Données personnelles pour le compte d'un Responsable du traitement, ou le terme équivalent en vertu de la loi applicable.
Les termes « Entreprise » (Business) et « Prestataire de services » (Service Provider) ont le sens qui leur est attribué par les lois des États américains applicables en matière de vie privée, le cas échéant.
« Données du Client » désigne les données soumises aux Services, stockées dans ceux-ci, transmises par leur intermédiaire ou traitées de toute autre manière par les Services pour le compte du Client.
« Données personnelles » désigne les informations se rapportant à une personne physique identifiée ou identifiable, ou toute autre information définie comme information personnelle, donnée à caractère personnel ou par un terme équivalent en vertu de la Loi sur la protection des données applicable.
« Traitement » désigne toute opération effectuée sur des Données personnelles, y compris la collecte, l'enregistrement, l'organisation, le stockage, la consultation, la modification, l'extraction, l'utilisation, la transmission, la divulgation, la limitation, l'effacement ou la destruction de Données personnelles.
« Personne concernée » désigne la personne physique à laquelle se rapportent les Données personnelles.
« Sous-traitant ultérieur » désigne un tiers auquel 255 fait appel pour traiter des Données personnelles pour le compte du Client dans le cadre des Services.
« Violation de Données personnelles » désigne une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de Données personnelles traitées en vertu du présent DPA, ou l'accès non autorisé à de telles données, telle que définie par la Loi sur la protection des données applicable.
2Rôles des parties
Le Client et 255 reconnaissent que leurs rôles respectifs en matière de vie privée dépendent du contexte dans lequel les Données personnelles sont traitées.
S'agissant des Données personnelles que le Client soumet aux Services ou traite par leur intermédiaire pour ses propres finalités professionnelles :
- Le Client agit généralement en qualité de Responsable du traitement ou d'Entreprise.
- 255 agit généralement en qualité de Sous-traitant ou de Prestataire de services pour le compte du Client.
Le Client détermine les finalités pour lesquelles les Données personnelles du Client sont traitées et il lui incombe de veiller à ce que ses instructions soient conformes à la Loi sur la protection des données applicable.
255 traitera ces Données personnelles sur instructions documentées du Client, y compris dans la mesure nécessaire pour fournir les Services en vertu du Contrat et du présent DPA.
255 peut agir séparément en qualité de Responsable du traitement indépendant pour certaines informations traitées pour ses propres finalités professionnelles légitimes, telles que l'administration des comptes, les relations directes avec les clients, la sécurité, la facturation, la prévention de la fraude et la conformité légale. Ce traitement est régi par la Politique de confidentialité de 255 et par la loi applicable.
3Instructions du Client
Le Client donne instruction à 255 de traiter des Données personnelles dans la mesure raisonnablement nécessaire pour :
- Fournir les Services
- Exploiter la 255 Business Platform
- Gérer les comptes du Client
- Héberger et stocker les Données du Client
- Fournir les fonctionnalités CRM
- Faciliter les communications avec les clients
- Fournir les fonctionnalités de planification et de prise de rendez-vous
- Exécuter les automatisations configurées
- Fournir les intégrations demandées par le Client
- Fournir une assistance technique et client
- Maintenir la sécurité
- Prévenir la fraude et les abus
- Résoudre les problèmes techniques
- Exécuter les obligations prévues par le Contrat
- Respecter les obligations légales applicables
Des instructions documentées supplémentaires peuvent être convenues entre le Client et 255.
Si 255 a des motifs raisonnables de croire qu'une instruction du Client enfreint la Loi sur la protection des données applicable, 255 peut en informer le Client et, lorsque cela est juridiquement approprié, suspendre le traitement concerné jusqu'à la résolution du problème.
4Responsabilités du Client
Il incombe au Client de veiller à ce que la collecte et le traitement de Données personnelles qu'il effectue au moyen des Services soient conformes à la Loi sur la protection des données applicable.
Le Client déclare et garantit, le cas échéant, qu'il :
- Dispose de l'autorité appropriée pour fournir des Données personnelles à 255
- A fourni les avis de confidentialité légalement requis
- A obtenu le consentement légalement requis
- Dispose d'une base légale appropriée pour le traitement
- Respecte les lois applicables en matière de marketing et de communication
- Donne suite aux demandes de désinscription (opt-out) applicables
- Tient des registres appropriés du consentement lorsque cela est requis
- Fournit des instructions de traitement licites
- Ne donne pas instruction à 255 de traiter des Données personnelles de manière illicite
Il appartient au Client de déterminer si les Services sont adaptés à ses exigences juridiques, réglementaires et sectorielles particulières.
5Détails du traitement
La nature et la portée du traitement dépendent des Services sélectionnés et configurés par le Client.
Objet
Traitement des Données personnelles nécessaire pour fournir les Services demandés par le Client.
Durée
Pendant la durée du Contrat et toute période supplémentaire au cours de laquelle 255 est autorisée ou légalement tenue de conserver des Données personnelles.
Nature du traitement
Le traitement peut comprendre :
- La collecte
- La réception
- L'enregistrement
- L'organisation
- Le stockage
- L'extraction
- La consultation
- L'utilisation
- La transmission
- La communication
- La synchronisation
- L'analyse
- L'automatisation
- La modification
- L'exportation
- La limitation
- L'effacement
selon les Services utilisés.
6Catégories de Personnes concernées
Selon l'utilisation que le Client fait des Services, les Personnes concernées peuvent comprendre :
- Les clients du Client
- Les clients potentiels
- Les leads
- Les contacts
- Les visiteurs du site web
- Les participants à des rendez-vous
- Les employés
- Les sous-traitants et prestataires indépendants
- Les utilisateurs autorisés
- Les représentants d'entreprises
- Les destinataires de communications
- Les autres personnes dont le Client traite licitement les Données personnelles au moyen des Services
7Catégories de Données personnelles
Selon les Services utilisés et la configuration du Client, les Données personnelles peuvent comprendre :
- Les noms
- Les adresses e-mail
- Les numéros de téléphone
- Les informations professionnelles
- Les coordonnées
- Les fiches CRM
- Les informations relatives aux leads
- Les informations relatives aux opportunités
- Les informations relatives aux rendez-vous
- L'historique des communications
- Les données SMS et de messagerie
- Les communications par e-mail
- Les soumissions de formulaires
- Les notes
- Les étiquettes
- Les tâches
- Les interactions avec les clients
- Les identifiants de compte
- Les informations relatives aux appareils et les informations techniques
- Les informations liées aux adresses IP
- Les informations liées aux transactions
- Les préférences marketing
- Les registres de consentement
- Les autres Données personnelles soumises par le Client
255 n'exige pas du Client qu'il fournisse des catégories de Données personnelles qui ne sont pas nécessaires aux Services.
8Données personnelles sensibles
Le Client ne doit pas soumettre de Données personnelles sensibles ou faisant l'objet d'une protection particulière, sauf si :
- les Services concernés sont conçus et autorisés pour traiter de telles informations ;
- le Client dispose d'une base légale valable pour ce faire ;
- toutes les garanties, tous les avis, tous les accords et tous les consentements requis sont en place ; et
- ce traitement est conforme au Contrat et à la Loi sur la protection des données applicable.
Il appartient au Client de déterminer si des exigences sectorielles ou renforcées s'appliquent à ses données.
L'utilisation des Services n'établit pas, à elle seule, la conformité à la HIPAA, à la GLBA, à la FERPA ou à tout autre cadre réglementaire sectoriel.
9Confidentialité
255 veillera à ce que le personnel autorisé à traiter des Données personnelles du Client soit soumis à des obligations de confidentialité appropriées.
L'accès aux Données personnelles sera limité au personnel et aux prestataires de services qui ont besoin d'y accéder à des fins légitimes liées à la fourniture, à la maintenance, à la sécurisation ou à l'assistance des Services.
10Mesures de sécurité
255 maintiendra des mesures techniques et organisationnelles raisonnables et appropriées destinées à protéger les Données personnelles du Client contre tout accès, toute divulgation, toute altération, toute destruction ou toute perte non autorisés ou illicites.
Selon la nature des Services et des systèmes concernés, les garanties peuvent comprendre des mesures relatives à :
- Les contrôles d'accès
- L'authentification
- L'autorisation
- La gestion des identifiants
- La sécurité du réseau
- La sécurité des applications
- Le chiffrement, le cas échéant
- La journalisation et la surveillance
- La sécurité de l'infrastructure
- La sauvegarde et la restauration
- La gestion des vulnérabilités
- Les mises à jour de sécurité
- La gestion des incidents
- Les contrôles d'accès des employés
- La gestion des fournisseurs
- La continuité des activités
Les mesures de sécurité peuvent évoluer au fil du temps à mesure que les technologies, les menaces et les Services changent.
255 ne réduira pas de manière significative le niveau global de sécurité des Services pendant la durée d'abonnement applicable sans justification appropriée.
11Accès aux Données personnelles
255 limitera l'accès aux Données personnelles du Client aux personnes et aux Sous-traitants ultérieurs qui ont raisonnablement besoin d'y accéder pour :
- Fournir les Services
- Maintenir l'infrastructure
- Fournir une assistance
- Examiner les problèmes techniques
- Maintenir la sécurité
- Prévenir les abus
- Respecter les obligations légales
L'accès sera soumis à des exigences appropriées en matière d'autorisation et de confidentialité.
12Sous-traitants ultérieurs
Le Client autorise de manière générale 255 à faire appel à des Sous-traitants ultérieurs dans la mesure nécessaire pour fournir les Services.
Les Sous-traitants ultérieurs peuvent fournir des services tels que :
- L'hébergement cloud
- L'infrastructure
- Les services de bases de données
- Les communications
- L'envoi d'e-mails
- L'envoi de SMS
- Le traitement des paiements
- L'analyse
- La sécurité
- L'assistance client
- L'authentification
- Les intégrations
- Les autres services techniques
255 exigera que les Sous-traitants ultérieurs qui traitent des Données personnelles du Client pour son compte soient soumis à des obligations de protection des données adaptées à la nature de leur traitement.
255 demeure responsable de ses obligations au titre du présent DPA en ce qui concerne le traitement effectué par ses Sous-traitants ultérieurs, dans la mesure requise par la Loi sur la protection des données applicable.
13Liste des Sous-traitants ultérieurs
255 peut tenir à jour une liste des Sous-traitants ultérieurs concernés à l'adresse :
www.255adv.com/legal/subprocessors
La liste devrait indiquer, le cas échéant :
- Le nom du Sous-traitant ultérieur
- La finalité
- Le type de service
- Le lieu ou la région de traitement, le cas échéant
255 ne devrait pas inscrire un prestataire en tant que Sous-traitant ultérieur à moins que ce prestataire ne traite effectivement des Données personnelles du Client pour le compte de 255.
14Modifications des Sous-traitants ultérieurs
Lorsque la Loi sur la protection des données applicable ou des engagements contractuels l'exigent, 255 fournira une notification appropriée des modifications importantes concernant les Sous-traitants ultérieurs.
Si le Client dispose d'un droit légalement reconnu de s'opposer à un nouveau Sous-traitant ultérieur, il peut formuler une objection raisonnable relative à la protection des données en contactant :
support@255adv.com
Les parties collaboreront de bonne foi pour répondre aux préoccupations légitimes.
15Intégrations tierces choisies par le Client
Les Services peuvent permettre au Client de connecter des applications, plateformes ou services tiers.
Lorsque le Client choisit de manière indépendante d'activer une intégration tierce, il donne instruction à 255 de transmettre ou de mettre à disposition les Données personnelles pertinentes dans la mesure nécessaire pour fournir cette intégration.
Les services tiers indépendants peuvent traiter les informations conformément à leurs propres conditions et politiques de confidentialité.
Il incombe au Client d'évaluer les services tiers qu'il choisit de connecter.
16Demandes des Personnes concernées
Compte tenu de la nature du traitement et des fonctionnalités disponibles dans les Services, 255 fournira au Client une assistance raisonnable pour répondre aux demandes applicables des Personnes concernées lorsque la Loi sur la protection des données applicable l'exige.
Ces demandes peuvent porter notamment sur :
- L'accès
- La rectification
- L'effacement
- La portabilité
- La limitation
- L'opposition
- Les droits d'opposition (opt-out)
Lorsqu'une Personne concernée contacte directement 255 au sujet de Données personnelles traitées pour le compte du Client, 255 peut transmettre la demande au Client, sauf si la loi applicable impose à 255 d'y répondre directement.
Il demeure de la responsabilité du Client de déterminer la réponse appropriée aux demandes relatives aux Données personnelles contrôlées par le Client.
17Assistance en matière de conformité
Compte tenu de la nature du traitement et des informations raisonnablement à la disposition de 255, 255 fournira au Client une assistance raisonnable concernant les obligations applicables en matière de protection des données lorsque la loi l'exige.
Cela peut inclure une assistance concernant :
- La sécurité
- Les Violations de Données personnelles
- Les demandes des Personnes concernées
- Les analyses d'impact relatives à la protection des données
- Les consultations des autorités de contrôle
Toute assistance allant au-delà des fonctionnalités standard des Services peut donner lieu à des frais raisonnables lorsque le Contrat et la loi applicable le permettent.
18Violation de Données personnelles
255 maintiendra des procédures destinées à identifier les incidents de sécurité et à y répondre.
Si 255 prend connaissance d'une Violation de Données personnelles affectant des Données personnelles du Client pour laquelle une notification au Client est requise en vertu de la Loi sur la protection des données applicable, 255 en informera le Client dans les meilleurs délais.
Dans la mesure où elles sont raisonnablement disponibles, la notification peut comprendre des informations concernant :
- La nature de l'incident
- Les catégories d'informations concernées
- Les conséquences potentielles
- Les mesures prises ou proposées
- Les coordonnées de contact pertinentes
255 peut fournir les informations de manière échelonnée à mesure que des détails supplémentaires deviennent disponibles.
La notification d'un incident de sécurité ne constitue pas une reconnaissance de faute ou de responsabilité.
Il appartient au Client de déterminer si une notification aux personnes, aux autorités de contrôle, aux clients ou à d'autres parties est légalement requise, sauf disposition contraire de la loi applicable.
19Restitution et suppression des données
À la résiliation ou à l'expiration des Services concernés, le Client peut perdre l'accès aux Données personnelles du Client.
Lorsque cette fonctionnalité est disponible, le Client devrait exporter les informations qu'il souhaite conserver avant la clôture du compte.
À la résiliation et sous réserve de la loi applicable, 255 supprimera ou restituera les Données personnelles du Client conformément :
- Au Contrat
- Aux fonctionnalités des Services
- Aux durées de conservation applicables
- Aux obligations légales
- Aux exigences de sécurité
- Aux procédures de sauvegarde
255 peut conserver des Données personnelles lorsque la loi applicable l'exige ou le permet.
Les données contenues dans les sauvegardes peuvent subsister jusqu'à leur suppression ou leur écrasement conformément aux processus applicables de conservation des sauvegardes.
20Portabilité et exportation des données
Lorsque les Services le permettent, le Client peut exporter certaines Données du Client au moyen des fonctionnalités disponibles.
Il incombe au Client d'effectuer les exportations nécessaires avant de clôturer son compte.
255 ne garantit pas que chaque catégorie d'informations puisse être exportée dans tous les formats, sauf si la loi applicable ou un accord l'exige expressément.
21Transferts internationaux de données
Le Client reconnaît que 255 et ses Sous-traitants ultérieurs autorisés peuvent traiter des Données personnelles aux États-Unis et dans d'autres juridictions.
Lorsqu'un transfert international nécessite un mécanisme de transfert juridiquement reconnu, les parties utiliseront un mécanisme approprié conformément à la Loi sur la protection des données applicable.
22Transferts depuis l'Espace économique européen
Lorsque des Données personnelles du Client soumises au GDPR (RGPD) sont transférées depuis l'Espace économique européen vers un pays qui ne bénéficie pas d'une décision d'adéquation applicable, les parties utiliseront un mécanisme de transfert approprié lorsque cela est requis.
Il peut notamment s'agir des Clauses contractuelles types applicables de la Commission européenne (« CCT »).
Lorsque les CCT sont légalement requises, elles seront intégrées au présent DPA ou signées séparément, selon le cas.
Les parties coopéreront raisonnablement en ce qui concerne les mesures supplémentaires requises par la loi applicable.
23Transferts depuis le Royaume-Uni
Lorsque des Données personnelles soumises à la législation britannique en matière de protection des données font l'objet d'un transfert international et qu'un mécanisme de transfert approprié est requis, les parties utiliseront un mécanisme applicable juridiquement reconnu.
Il peut notamment s'agir de l'Avenant britannique relatif aux transferts internationaux de données (UK International Data Transfer Addendum) ou d'un autre mécanisme de transfert approuvé, le cas échéant.
24Lois des États américains en matière de vie privée
Lorsque 255 traite des Données personnelles pour le compte du Client et que la loi d'un État américain applicable en matière de vie privée considère le Client comme une Entreprise ou un Responsable du traitement et 255 comme un Prestataire de services, un Contractant ou un Sous-traitant, 255 traitera ces Données personnelles conformément aux exigences contractuelles applicables.
Le cas échéant, 255 s'interdit de :
- Vendre des Données personnelles du Client contre une contrepartie monétaire
- Conserver, utiliser ou divulguer des Données personnelles du Client en dehors des finalités autorisées par le Contrat et la loi applicable
- Combiner des Données personnelles du Client avec d'autres informations lorsque la loi applicable l'interdit
255 traitera les Données personnelles du Client pour les finalités limitées et déterminées décrites dans le Contrat, le présent DPA et les instructions documentées du Client.
25Exigences californiennes en matière de vie privée
Lorsque le California Consumer Privacy Act, tel que modifié par le California Privacy Rights Act (« CCPA/CPRA »), s'applique au traitement effectué en vertu du présent DPA, les parties entendent que 255 agisse en qualité de Prestataire de services ou de Contractant, selon le cas, pour les Informations personnelles du Client traitées pour le compte du Client.
255 ne traitera ces Informations personnelles que pour les finalités professionnelles limitées et déterminées autorisées par le Contrat, le présent DPA et la loi applicable.
255 ne vendra ni ne partagera les Informations personnelles du Client, au sens donné à ces termes par la loi californienne applicable, sauf dans la mesure permise par la loi et par les instructions documentées du Client.
255 informera le Client si elle détermine qu'elle n'est plus en mesure de respecter les obligations applicables au titre de la présente section, lorsque la loi l'exige.
Le Client peut prendre les mesures raisonnables et appropriées autorisées par la loi applicable pour contribuer à garantir que 255 traite les Informations personnelles du Client de manière conforme aux obligations du Client.
26Audits et informations relatives à la conformité
Sur demande raisonnable et lorsque la Loi sur la protection des données applicable l'exige, 255 mettra à disposition les informations raisonnablement nécessaires pour démontrer le respect de ses obligations en qualité de Sous-traitant ou de Prestataire de services.
Lorsque la loi l'exige, 255 peut autoriser des audits raisonnables, sous réserve de mesures appropriées concernant :
- La protection de la confidentialité
- Les exigences de sécurité
- Les limitations de périmètre
- Le préavis
- Les exigences de planification
- La protection des autres clients
- La protection des informations exclusives
Les parties devraient d'abord recourir à la documentation, aux certifications, aux rapports ou aux questionnaires disponibles lorsque ceux-ci satisfont raisonnablement à l'exigence applicable.
27Demandes des autorités publiques et demandes judiciaires
255 peut divulguer des Données personnelles lorsque la loi applicable, une décision de justice, une citation à comparaître (subpoena) ou toute autre demande gouvernementale juridiquement contraignante l'exige.
Lorsque la loi le permet et que cela est approprié, 255 peut informer le Client avant de divulguer des Données personnelles du Client en réponse à une telle demande.
255 peut, le cas échéant, contester les demandes qu'elle estime raisonnablement illicites ou excessives.
28Absence de vente des Données personnelles du Client
255 n'acquiert pas la propriété des Données personnelles du Client du seul fait qu'elle les traite au moyen des Services.
255 ne vendra pas de Données personnelles du Client contre une contrepartie monétaire lorsqu'elle agit en qualité de Sous-traitant ou de Prestataire de services du Client.
Tout traitement indépendant effectué par 255 en qualité de Responsable du traitement est régi par notre Politique de confidentialité et par la Loi sur la protection des données applicable.
29Propriété des données
Dans les relations entre le Client et 255, le Client conserve tous les droits qu'il détient sur les Données du Client.
Le présent DPA ne transfère pas à 255 la propriété des Données du Client.
Le Client n'accorde à 255 que les droits raisonnablement nécessaires pour traiter les Données du Client afin de fournir, sécuriser, maintenir et assister les Services et de remplir les obligations légales applicables.
30Informations commerciales confidentielles
Les Données du Client peuvent contenir des informations commerciales confidentielles en plus des Données personnelles.
255 traitera ces informations conformément aux obligations de confidentialité applicables prévues par le Contrat.
31Responsabilité
La responsabilité de chaque partie découlant du présent DPA ou s'y rapportant est soumise aux limitations et exclusions de responsabilité applicables prévues par le Contrat, sauf dans la mesure où ces limitations sont interdites par la Loi sur la protection des données applicable.
32Durée et résiliation
Le présent DPA prend effet lorsqu'il s'applique à un traitement effectué en vertu d'un Contrat conclu entre le Client et 255.
Il reste en vigueur aussi longtemps que 255 traite des Données personnelles du Client soumises au DPA.
Les dispositions qui, de par leur nature, devraient survivre à la résiliation resteront en vigueur aussi longtemps que nécessaire pour remplir les obligations légales ou contractuelles applicables.
33Ordre de priorité
En cas de contradiction en matière de protection des données entre :
- la loi impérative applicable ;
- les mécanismes de transfert légalement requis ;
- le présent DPA ; et
- le Contrat,
l'exigence de rang supérieur prévaudra dans la mesure de la contradiction.
34Modifications du présent DPA
255 peut mettre à jour le présent DPA afin de refléter les changements concernant :
- La loi applicable
- Les exigences réglementaires
- Les Services
- Les pratiques de sécurité
- Les activités de traitement
- Les dispositifs de sous-traitance ultérieure
Les modifications importantes affectant les droits du Client en matière de protection des données seront communiquées lorsque la loi applicable ou des engagements contractuels l'exigent.
La date de « Dernière mise à jour » reflétera la révision la plus récente.
35Contact
Les questions concernant le présent DPA, la vie privée, la sécurité ou le traitement des données peuvent être adressées à :
255 Advertising Agency & Marketing LLC
Siège social
400 E Royal Lane, Suite 104
Irving, TX 75039
United States
E-mail confidentialité et assistance
Site web
Centre d'assistance
Annexe 1 — Détails du traitement
Pour le DPA, je recommande d'inclure une annexe formelle à la fin :
Élément
Détails
Responsable du traitement / Entreprise
Le Client 255 concerné
Sous-traitant / Prestataire de services
255 Advertising Agency & Marketing LLC
Objet
Traitement nécessaire pour fournir les Services 255 contractuels
Durée
Durée du Contrat applicable, majorée de la période de conservation autorisée ou requise
Finalité
Fourniture, sécurisation, maintenance, assistance et amélioration des Services contractuels
Personnes concernées
Clients, leads, contacts, employés, utilisateurs, visiteurs du site web, participants à des rendez-vous et autres personnes dont le Client soumet les données
Données personnelles
Coordonnées, données CRM, communications, rendez-vous, formulaires, identifiants de compte, informations relatives au consentement, données techniques et autres informations soumises par le Client
Données sensibles
Uniquement lorsque cela est expressément pris en charge, autorisé et légalement permis
Opérations de traitement
Collecte, stockage, organisation, extraction, transmission, communication, automatisation, modification, exportation et effacement
Fréquence
En continu ou selon ce qui est déclenché ou configuré par le Client
Conservation
Pendant la durée des Services et la période de conservation applicable
Annexe 2 — Mesures techniques et organisationnelles
Ne mentionnons pas de certifications de sécurité qui n'existent pas. N'indiquons que ce que 255 peut effectivement prouver.
Catégories à documenter :
Contrôle d'accès
Accès fondé sur les rôles, authentification des comptes, contrôles des accès administratifs et restriction des accès en fonction des besoins opérationnels, lorsque ces mesures sont mises en œuvre.
Protection des données
Protection appropriée des données en transit et au repos, en fonction de l'architecture et des services utilisés.
Sécurité de l'infrastructure
Mesures de sécurité de l'hébergement, du réseau, de l'infrastructure et de l'environnement fournies directement par 255 et par les fournisseurs d'infrastructure concernés.
Sécurité des applications
Pratiques de développement sécurisé, de gestion des dépendances, de correction des vulnérabilités et d'accès à l'environnement de production, lorsqu'elles sont mises en œuvre.
Journalisation et surveillance
Journalisation et surveillance opérationnelles et de sécurité appropriées.
Sauvegarde et restauration
Procédures de sauvegarde et de restauration adaptées aux Services.
Réponse aux incidents
Processus d'investigation, de confinement, de correction et de communication des incidents de sécurité concernés.
Gestion des fournisseurs
Évaluation raisonnable et contrôles contractuels des Sous-traitants ultérieurs qui traitent des Données personnelles du Client.
Sécurité du personnel
Obligations de confidentialité et restrictions d'accès pour le personnel ayant accès aux Données personnelles du Client.